检测 Xposed 安装、防止应用被劫持的终极解决方案

[w568w]

最近一段时间一直在研究如何防止应用被 Xposed 劫持...

这个问题还真的头疼，目前已有的上Magisk Hide、随机包名、RootCloak等反 Xposed 检测的措施已经非常成熟了。退一万步来说，就算找到了新的检测方案，检测方法本身也可能被劫持而失去作用。

经过三番五次的寻找和反复推敲，最终还是决定在Native和Java层同时实现检测，
于是就有了这个终极版解决方案，融合了目前能够通过反编译在各大应用中找到的 11 种检测方式。

目前已经在不同机型测试过，误杀率几乎为 0，可以完美检测市面上已有的各种版本 Xposed 。
（不包括Taichi一类的通过插入原生库到 APP 中的 Xposed 框架，这些框架只要加入签名验证就可以完美反制，检测无意义）

Github 地址在这里，欢迎使用： https://github.com/w568w/XposedDetectLib

你也可以在这里下载 GUI 版本，在自己手机上调试： https://www.coolapk.com/apk/190247

[iFlicker]

赞

[hicdn]

Xposed 安装后会导致 SafetyNet  检测不能通过，这个可以做为关键检测点。

[7LilUM0c66MGtJTD]

原来是两年不见诈尸更新了，不过还是赞

[w568w]

@hicdn 感谢，这个思路很有意思！稍后加入到库里 :D

[littiefish]

禁止用 xp 的 APP 都被我卸载拉黑了

[chinvo]

@hicdn #2 SafetyNet 检测需要梯子吧

[w568w]

@littiefish 我知道那些一用 Xposed 就闪退的 app 有多让人恼火，但是对个人开发者来说并不是这样...

如果你是个人开发者，并且有付费应用，除非你也想遭遇像这位老哥一样的处境： https://www.v2ex.com/t/696607 否则对于 Hook 这样的行为还是敏感点的好。倘若服务端身份验证没做好，被 Xposed 偷库闹出隐私问题，就更麻烦了。

毕竟，工具怎么用在于人，工具本身没有错。

[luckycatio]

@w568w 被用 xp 的人拉黑对开发者来说是好事吧，不必在意那些少得可怜的用户。

[MePride]

@w568w 我来了😢，不知道增加 hook 检测会不会被用户骂。

[yongligua]

我装 xp 只是为了状态栏能同时显示上行下行的网速…然而一些软件就不能用了，简直了

[hicdn]

@chinvo 好像是需要梯子，多谢提醒。

[Lightbright]

内核查找 xposed 链接库在我这里有误报

[Kagari]

“毕竟，工具怎么用在于人，工具本身没有错。”
毕竟，xp 怎么用在于人，xp 本身没有错。

[Jirajine]

@luckycatio @MePride
之前在 sof 上看到一个关于反破解的问题下面的回复，大概意思是：如果你到检测 root/xp 就禁止使用，那么对你的软件的破解就可以说是正当的，we won't blame them.

[c2const]

攻防方面，硬钢就完事了，双方见招拆招。

[azhangbing]

赞 马克一下

[canyie]

@hicdn 我自己写了个叫梦境的框架（用 riru ），在我的 pixel3 （ android 10)上完美通过 safetynet 检测。

[slamDunkLINk]

我装 xp 也只是为了防止流氓应用,为什么不让用户本身选择呢?装了 xp 连应用都打不开真是太骚了.

[w568w]

@Lightbright 是安装了 Riru 吗？ Riru 可能会影响检测…


@Kagari 所以怎么规范 xposed 的使用才是问题

[RiESA]

防止被 Xposed 劫持修改 √
检测到 Xposed 就闪退或者禁止使用 ×

[hicdn]

@canyie 大佬，求链接

[FlyPuff]

看了下自己的机机，装了微 x/qx 围脖去广告，去启动页广告，还有个 miui 麻醉师~
我觉得大部分人都是用 xp 来给自己的手机提供（针对大部分流氓 app 行为）各种便利性的吧

[lmslly]

xp 已经不常用了 面具挺好的

[greed1is9good]

如果你的应用不耍流氓，你怕什么 xposed,既然你这么关心用户安全隐私那你应该去开发反流氓软件，而不是研究反反流氓。。。

[wtdd]

用 xposed 劫持小众软件干什么，很少人做的过分，基本就是干掉过分的广告而已。要针对性破解甚至复制的话，哪会用 xposed 呢

[251]

什么意思？我不能 hook 你这个方法，返回一个 false 吗

[w568w]

@251 后面会考虑完全迁移到 Native C 部分。

@greed1is9good 你的关注点在用户隐私上，然而那只是一方面。首先 V 站个人开发者有一定比例，这一部分基本上不会太 care 用户隐私；另外大厂自有检测方案也轮不到我干预；所以我认为这个库的用途主要还是防破解。

@wtdd Xposed 提供了一种非侵入式修改代码的机会，这种机会无论放在哪里都是有风险的。不妨了解一下： https://www.zhihu.com/question/265550793

另外，用 xposed 脱壳 /破解已经是常规操作了。

[canyie]

@hicdn https://github.com/canyie/Dreamland，还没写好

[Blanke]

直接 hook detectXposed 返回 false 不就行了。。。

[InkStone]

其实这种程度的反制措施只能略微提高门槛，没法真正反制破解。

我大致看了下代码，你似乎没做针对 VirtualXposed 之类基于 VA 的 xposed 的对抗。

[InkStone]

你提到了太极，但这类 VA 软件跟太极不一样，是没法通过签名校验来对抗的。

而且除了 VA 之外，脱壳还可以用 frida 或者定制系统，只要脱了壳，在软件层面做的 xposed 对抗仍然是很容易绕过的。

[zgzb]

xposed 就是来造福人类的，都想避免 xposed 被检测，楼主搞了个强力检测的...，这是不给人卸载垃圾软件节省内存留余地啊。

[lwlizhe]

如果用 flutter 是不是会好很多，目前差不多也只能破解 native 层面的东西……

[GeT1t]

作为一个第三方 SDK 提供 XPOSED 闪退的开发者路过。

[newmlp]

hook 掉你的方法，然后返回 false

[weishu]

无法检测到魔改过的 Xposed，所以我觉得称不上终极方法。提个建议，检测 Xposed 的本质特征，而不是去看特定名字的 jar / so 或者符号。

[qihehulian]

@weishu 如果已经魔改了，那么已经不考虑兼容性了，为何不直接花式挂钩？例如用你的 epic 直接钩上即可，不考虑接口兼容性。检测 Xposed 其实是检测少数人里面的大多数，少数人里面的极少数没必要各种方案检测了。最好还是在业务逻辑里面做好安全，本身就不怕被修改。

[weishu]

@qihehulian 大多数普通用户用的都是公开的 Xposed，那些需要魔改的可以说绝大部分都是非正常用户。用这种方式去检测 Xposed，会误伤到普通人而真正作恶的却逍遥法外。我觉得魔改 Xposed 检测应该当作重点而不是把他们当作极少数置之不理。

[hyperdak288]

@weishu 那么 xposed 的本质特征可以从哪些方面来检测呢？

[litaomn]

一点用没有，定制版 xposed 直接秒杀

[ko1haha]

对某些人无语啦。你买的手机，需需要某些“正规”的功能，不去请求生产手机的人，反而要求其他发者给你买单、在安全和隐私方面为你让步、给 xp 和逆向开方便之门。